AIDE — integrita souborů

Integrita souborů v podobě, kterou opravdu čtete

AIDE pořídí kryptografický snímek souborového systému a hlásí, co se od té doby změnilo. Je to nástroj, který odpoví na otázku, jíž se všechny ostatní po incidentu vyhýbají: čeho se dotkli? Tato stránka ukazuje poslední kontrolu jako tři seznamy — přidané, změněné a odstraněné soubory — s atributy, které se liší.

O tom, zda je AIDE na vašem serveru k něčemu, rozhodují dvě věci. První je, kde leží databáze: pokud je na stejném souborovém systému, který kontroluje, může ji kdokoli s rootem po svých změnách aktualizovat a zpráva se vrátí čistá. Držte kopii tam, kam server nemůže zapisovat. Druhou je kázeň kolem výchozího stavu: po každé legitimní aktualizaci balíčků je nutné databázi postavit znovu, jinak se další zpráva utopí v očekávaných změnách a přestane se číst.

Hlučné adresáře na běžném serveru jsou /var/log, /var/lib a všechno pod /tmp. Vyjmout je z kontroly není podvod: právě díky tomu je zbytek výstupu dost krátký na to, aby se na něj člověk skutečně podíval.

Nejčastější zpráva AIDE pochází právě odtud: v noci proběhly unattended-upgrades, desítky binárek změnily otisk a seznam změn se čte jako vloupání, ačkoli jde o plánovanou aktualizaci. Postup je jednoduchý: porovnat čas zprávy s časem aktualizace a pokud se shodují, postavit základ znovu. Když otázka nezní co se změnilo, ale kdo to změnil, odpovídá auditd: AIDE zaznamená výsledek, auditní log ruku.